část první ÚVODNÍ USTANOVENÍ

Transkript

1 Čj.ms80/18 SMĚRNICE ŘEDITELE ŠKOLY PRO NAKLÁDÁNÍ S OSOBNÍMI ÚDAJI ŽÁKŮ, ZAMĚSTNANCŮ ŠKOLY A DALŠÍCH OSOB Mateřská škola Brno, Vinařská 4, příspěvková organizace, se sídlem Vinařská 4, Brno část první ÚVODNÍ USTANOVENÍ čl. 1 Vydání směrnice V souladu s účinností nařízení Evropského parlamentu a Rady (EU) č. 2016/679 (dále jen GDPR ) byla přijata tato směrnice, která upravuje podmínky nakládání s osobními údaji žáků, zaměstnanců a dalších osob MŠ Brno, Vinařská 4, příspěvkové organizace, se sídlem Vinařská 4,603 00, Brno. čl. 2 Závaznost směrnice Tato směrnice upravuje postupy a povinnosti při zpracování osobních údajů. Je závazná pro všechny zaměstnance školy (pedagogické i nepedagogické pracovníky, vč. zaměstnanců na základě dohod o pracích konaných mimo pracovní poměr), jakož i další osoby, které jsou ke škole v jiném právním vztahu, v jehož rámci jsou jim poskytnuty či jimi zpracovávány osobní údaje a kteří se k jejímu dodržování smluvně zavázali. čl. 3 Vymezení základních pojmů Osobní údaj. Osobním údajem se rozumí jakýkoliv údaj, podle kterého lze žáka, zaměstnance či jinou fyzickou osobou přímo či nepřímo identifikovat, zejména s odkazem na určitý identifikátor. Zvláštní kategorie osobních údajů. Do zvláštní kategorie osobních údajů spadají osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. Subjekt údajů. Identifikovaná nebo identifikovatelná fyzická osoba, zejména žák, zaměstnanec, ale i další fyzická osoba, jejímiž Zaměstnanec. Zaměstnancem je pro účely této směrnice každá fyzická osoba, která se zavázala k výkonu závislé práce v pracovněprávním vztahu ke škole, a to na základě uzavřené pracovní smlouvy nebo dohody o práci konané mimo pracovní poměr, ale i jakákoli třetí osoba v jiném právním vztahu, která se zavázala k dodržování této směrnice. Správce. Správcem osobních údajů je Mateřská škola Brno, Vinařská 4,příspěvková organizace, se sídlem Vinařská 4, Brno. Pověřenec pro ochranu osobních údajů. Pověřenec pro ochranu osobních údajů je osoba určená správcem. Pověřencem je jmenována JUDr. Iva Kuckirová, advokátka, zapsaná v ČAK pod ev. č , se sídlem Starobrněnská 690/20, Brno. Zpracování osobních údajů. Zpracováním údajů je jakákoliv operace s osobními údaji či soubory osobních údajů, kterou provádí správce prostřednictvím svých zaměstnanců, například jejich shromáždění, zaznamenání, uložení, vyhledání, nahlédnutí, šíření či zpřístupnění.

2 Nakládání s osobními údaji. Jakákoliv operace s osobními údaji či soubory osobních údajů, které provádí zaměstnanci na základě pokynů správce. část druhá ZÁSADY A ZÁKLADNÍ PRAVIDLA čl. 4 Základní zásady dle GDPR Osobní údaje musí být ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem. Osobní údaje musí být shromažďovány pro určité, výslovně vyjádřené a legitimní účely. Osobní údaje musí být omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány. Osobní údaje nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný. Osobní údaje musí být přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny. Osobní údaje musí být uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány. Osobní údaje lze uložit po delší dobu, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1 GDPR, a to za předpokladu provedení příslušných technických a organizačních opatření s cílem zaručit práva a svobody subjektu údajů. Osobní údaje musí být zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením. čl. 5 Základní pravidla pro nakládání s osobními údaji Zaměstnanci jsou povinni při jakémkoliv nakládání s osobními údaji postupovat v souladu s relevantními právními předpisy, zejména pak s nařízením Evropského parlamentu a Rady (EU) č. 2016/679 (dále jen GDPR ), a zajistit zabezpečení osobních údajů subjektů údajů. Zaměstnanci jsou povinni zpracovávat osobní údaje v souladu s účelem a na základě právního titulu, který určí správce (viz čl. 7 této směrnice). V případě, že vznikne potřeba zpracování osobních údajů pro jiný, nový účel, je zaměstnanec povinen oprávněnost zpracování zkonzultovat s organizací a postupovat dle získaných pokynů. V případě, že je osobní údaj zpracováván na základě právního titulu souhlasu subjektu osobních údajů, je zaměstnanec povinen tento souhlas před započetím zpracování osobního údaje od subjektu získat. K získání souhlasu je zaměstnanec povinen využívat vzor stanovený ředitelem, případně mít text souhlasu předem schválený ředitelem. Při udělení souhlasu je zaměstnanec povinen informovat subjekt o možnosti souhlas kdykoliv odvolat. Zaměstnanci jsou oprávněni zpracovávat osobní údaje subjektů pouze po dobu, po kterou je dán účel zpracování, a to po dobu nezbytně nutnou ve vztahu k danému účelu. Veškeré pochybnosti v oblasti zpracování osobních údajů je zaměstnanec povinen neprodleně konzultovat se správcem, případně pověřencem pro ochranu osobních údajů. čl. 6 Povinnost mlčenlivosti Zaměstnanci jsou povinni mít osobní údaje pod kontrolou (uzamčená skříňka, ), zachovávat o nich mlčenlivost a neposkytovat údaje osobám mimo výchovně vzdělávací proces. Již nepotřebné údaje je nutné skartovat.

3 Pokud zaměstnanec vědomě poruší povinnost mlčenlivosti, bude to zaměstnavatel považovat za porušení pracovní kázně zvlášť hrubým způsobem a může se zaměstnancem okamžitě rozvázat pracovní poměr podle 55 odst. 1 písm. b) zákoníku práce. Jestliže zaměstnanec, který byť i z nedbalosti, neoprávněně zveřejní, sdělí, zpřístupní, jinak zpracovává nebo si přisvojí osobní údaje, které byly shromážděné v souvislosti s výkonem veřejné moci, vystavuje se nebezpečí trestního stíhání pro trestný čin dle 180 zákona č. 40/2009 Sb., trestního zákoníku. Stejnému postihu se vystavuje zaměstnanec, který byť i z nedbalosti, poruší povinnost mlčenlivosti tím, že neoprávněně zveřejní, sdělí nebo zpřístupní třetí osobě osobní údaje získané v souvislosti s výkonem svého zaměstnání. čl. 7 Právní titul ke zpracování osobních údajů Organizace výchovy a vzdělávání je nezbytně spojena se zpracováním osobních údajů. Lze rozlišit tři skupiny při zpracovávání osobních údajů: 1. Osobní údaje zpracovávané na základě školského zákona: školní matrika, doklady o přijímání dětí ke vzdělávání, o průběhu vzdělávání a jeho ukončování, třídní kniha, záznamy z pedagogických rad, kniha úrazů a záznamy o úrazech dětí, popřípadě lékařské posudky. 2. Osobní údaje zpracovávané podle zvláštních zákonů: podněty pro jednání OSPOD, přestupkové komise, podklady dětí pro vyšetření v PPP, hlášení trestných činů, neomluvená absence, údaje o zdravotní způsobilosti dítěte na zotavovacích akcích. 3. Osobní údaje zpracovávané na základě informovaného souhlasu: seznamy dětí na mimoškolních akcích, seznamy dětí na soutěžích, seznamy zákonných zástupců pro spolek klub přítel školy, jména osob, které budou odvádět dítě z mateřské školy, kontakt na zákonné zástupce (není shodný s adresou dítěte), fotografie za účelem propagace či zvýšení zájmu o mateřskou školu, zveřejnění výtvarných a obdobných děl dětí na výstavách a přehlídkách, záznamy z kamerového systému školy pořizované za účelem bezpečnosti dětí a ochrany jejich majetku. čl. 8 Zákaz zpracování pro komerční účely Ředitel školy důsledně zakazuje předávání osobních údajů dětí a jejich zákonných zástupců třetím osobám soukromého práva (nabídky hraček, knih, aktivit pro děti). Obdobně se postupuje i u osobních údajů zaměstnanců školy čl. 9 Záznamy o činnostech zpracování Škola jako správce vede v dokumentaci školy písemné záznamy (za písemné se považují i elektronické záznamy) o činnostech zpracování v souladu s čl. 30 GDPR. čl. 10 Zpracování zvláštní kategorie osobních údajů Při zpracování zvláštní kategorie osobních může zaměstnance zpracovávat následující informace pro následující účely, nicméně zpracování je třeba věnovat zvláštní pozornost: - údaje o zdravotním stavu dítěte nebo zaměstnance školy, - speciální vzdělávací potřeby související se zdravotním stavem,

4 - specifické stravovací plány související se zdravotním stavem, filozofickým nebo náboženským přesvědčením. Nevhodná práce s těmito údaji může mít nepříznivý vliv na dotčené osoby. Škola proto zpracovává tyto údaje pouze v nezbytném rozsahu a dbá ve zvýšené míře o jejich zabezpečení. Zaměstnanci nejsou oprávněni zpracovávat jiné osobní údaje spadající do zvláštní kategorie osobních údajů, vyjma těch osobních údajů, k jejichž zpracování dostali výslovný pokyn od ředitele školy. část třetí VÝKON PRÁV SUBJEKTŮ ÚDAJŮ Čl. 11 Právo na informace Veškeré informace o tom, jak škola zajišťuje ochranu osobních údajů, jsou sděleny v zásadách ochrany osobních údajů, které jsou vydány ve dvojím vyhotovení, zvlášť pro zaměstnance a zvlášť pro děti, zákonné zástupce a další osoby. Ředitel školy informuje zaměstnance školy nejméně jednou ročně o ochraně osobních údajů ve škole. Pedagogičtí pracovníci nejméně jednou ročně informují zákonné zástupce dětí o ochraně osobních údajů ve škole. Rovněž průběžně informují děti o ochraně osobních údajů, forma musí být přizpůsobena věku dětí. Čl. 12 Právo na přístup Každý subjekt údajů (zákonný zástupce dítěte, zaměstnanec školy) má právo na přístup k osobním údajům, které se ho týkají. Subjekt údajů (zákonný zástupce dítěte, zaměstnanec školy) má právo si podat žádost o informaci, zda a v jakém rozsahu jsou zpracovávány jeho osobní údaje, osobní údaje jeho dítěte. Může k tomu využít formulář, který škola vydala. Škola musí subjektu údajů (zákonným zástupcům dětí, zaměstnancům), poskytnout kopie zpracování osobních údajů bez zbytečného odkladu, nejpozději do 1 měsíce. Škola poskytuje subjektu údajů informace o ochraně osobních údajů bezplatně. Žádost nelze odepřít z technických nebo jiných provozních důvodů. Škola vždy dbá na to, aby žádost o poskytnutou informaci zjišťovala pouze oprávněný zájem žadatele. Škola vždy dbá na to, aby při poskytnutí informace o osobních údajích nebyly zároveň poskytnuty osobní údaje jiných osob. Žadatele je vždy třeba důkladně identifikovat. Není možné vyhovět pouze ové nebo telefonické žádosti, kdy není žadatel dostatečně identifikován. Čl. 13 Právo na opravu Každý subjekt údajů (zákonný zástupce dítěte, zaměstnanec školy) má právo na opravu k osobním údajům, které se ho týkají. Může se jednat o změnu adresy, jména, bydliště, telefonního čísla apod. Pedagogičtí pracovníci do 30. září školního roku zapracují do školní matriky dotazník na kontrolu aktuálnosti osobních údajů dětí. Další doplnění nebo změny ve školní matrice provádějí dle aktuální změny. Zaměstnanci školy mají povinnost ohlašovat zaměstnavateli všechny skutečnosti, které jsou nezbytné pro vedení personální a mzdové dokumentace.

5 Žádost subjektu údajů vyřizuje škola bez zbytečného odkladu, nejpozději do 1 měsíce. Čl. 14 Právo na výmaz Každý subjekt údajů (zákonný zástupce dítěte, zaměstnanec školy) má právo na výmaz k osobním údajům, které se ho týkají. Tohoto práva nelze využít při zákonném zpracovávání osobních údajů jako je školní matrika, přijímací řízení, personální a mzdová evidence apod. S těmito dokumenty je nakládáno dle spisového a skartačního řádu školy (viz spisový a skartační řád školy) a této směrnice. Právo na výmaz nebo omezení osobních údajů se týká pouze případů, kdy subjektu údajů (zákonný zástupce dítěte, zaměstnanec školy) dává souhlas se zpracováním osobních údajů. V závěru školního roku se vždy provádí kontrola dokumentace školy, aby dále neobsahovala zbytečné osobní údaje (děti odcházející ze školy, rozvázání pracovního poměru zaměstnance apod.). Žádost subjektu údajů vyřizuje škola bez zbytečného odkladu, nejpozději do 1 měsíce. Čl. 15 Právo vznést námitku proti zpracování osobních údajů Každý subjekt údajů (zákonný zástupce dítěte, zaměstnanec školy) má právo vznést námitku proti zpracování osobních údajů, které se ho týkají. Tohoto práva nelze využít při zákonném zpracovávání osobních údajů jako je školní matrika, přijímací řízení, personální a mzdová evidence apod. S těmito dokumenty je nakládáno dle spisového a skartačního řádu školy (viz spisový a skartační řád školy) a této směrnice. Tohoto práva nelze využít při zpracování nezbytném pro plnění smlouvy ani při zpracování na základě souhlasu. Toto právo slouží ke zpracování na základě oprávněného zájmy (např. kamerové systémy). Žádost subjektu údajů vyřizuje škola bez zbytečného odkladu, nejpozději do 1 měsíce. část čtvrtá PREVENCE A VÝCHOVA K OCHRANĚ OSOBNÍCH ÚDAJŮ Čl. 16 Podporování kultury ochrany osobních údajů Děti zasluhují zvláštní ochranu osobních údajů, protože si mohou být méně vědomy dotčených rizik, důsledků a záruk a svých práv v souvislosti se zpracováním osobních údajů. Tato zvláštní ochrana se vztahuje zejména na používání osobních údajů dětí pro účely marketingu nebo vytváření osobnostních i uživatelských profilů a shromažďování osobních údajů týkajících se dětí při využívání služeb nabízených přímo dětem. Do třídních vzdělávacích programů školy se zapracují informace o ochraně osobních údajů pro děti, forma je přizpůsobena věku dětí. část pátá ORGANIZAČNÍ A TECHNICKÁ OPATŘENÍ K ZABEZPEČENÍ OSOBNÍCH ÚDAJŮ Čl. 17 Bezpečnostní pravidla pro zaměstnance

6 Zaměstnanci jsou povinni vynaložit veškeré úsilí k tomu, aby nedošlo k ohrožení osobních údajů žáků, zejména pak musí předcházet neoprávněnému zpřístupnění osobních údajů třetím osobám a ztrátě osobních údajů. Zaměstnanci jsou povinni dodržovat zejména následující bezpečnostní opatření: veškeré osobní údaje, podklady, dokumenty nebo jakékoliv jiné materiály a nosiče obsahující osobní údaje žáků uchovávat na chráněných místech a z hlediska techniky a bezpečnosti informací a osobních údajů zabezpečené tak, že je zaručeno, že nedojde k jakémukoliv přístupu neoprávněné třetí osoby k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, či k jejich jinému neoprávněnému zásahu, nesdělovat osobní údaje neoprávněným osobám, a to ani telefonicky ani při osobním jednání, ani jinak neumožnit neoprávněným osobám přístup k osobním údajům, např. neopouštět prostory, kde se momentálně nachází dokumenty obsahující osobní údaje, pokud jsou zde přítomny třetí osoby, jsou-li dány legitimní účely pro zpřístupnění údajů nebo je-li zpřístupnění právní povinností (např. na základě výzvy exekutora či orgánu činného v trestním řízení), zpřístupnit údaje pouze v přiměřeném rozsahu ve vztahu k účelu zpracování nebo v rozsahu, který stanoví zvláštní právní předpis (občanský soudní řád, exekuční řád, trestní řád), jsou-li dány legitimní účely pro zveřejnění údajů, zveřejnit údaje pouze v přiměřeném rozsahu ve vztahu k účelu zpracování, při zpracovávání osobních údajů využívat pouze schválené programy, formuláře a vzorové dokumenty schválené správcem při práci s osobními údaji využívat výlučně počítačové vybavení správce, které je vybaveno antivirovým programem, využívat pouze software s legálně pořízenou licencí k jeho užívání. Řadoví zaměstnanci nejsou oprávněni sdělovat osobní údaje zaměstnanců a žáků třetím osobám, pokud k tomu nedostanou pokyn nadřízeného zaměstnance. Písemné hodnocení a posudky jsou zaměstnanci oprávněni odeslat až na základě pokynu nadřízeného zaměstnance nebo ředitele školy. Psychologické, lékařské a jiné průzkumy lze provádět jen se souhlasem zákonného zástupce žáka, dochází-li při nich ke zpracování osobních údajů. Čl. 18 Přístup k osobním údajům K osobním spisům mají přístup osoby zmocněné k tomu zákonem, nebo osoby, kterým oprávnění plyne z jejich pracovněprávního zařazení. Do spisu zaměstnanců mohou dále nahlížet vedoucí zaměstnanci, kteří jsou zaměstnanci nadřízeni. Zaměstnanec má právo nahlížet do svého osobního spisu a pořizovat z něj výpisy a opisy, a to na náklady zaměstnavatele. Do údajů žáka v matrice mohou dále nahlížet pedagogičtí pracovníci a účetní (ekonom). Do údajů žáka o jeho zdravotním stavu a zpráv o vyšetření v poradenském zařízení mohou dále nahlížet výchovný poradce, třídní učitel, vedoucí pedagogičtí pracovníci a specializovaní pracovníci spolupracující s organizací (například logoped či školní psycholog). Čl. 19 Zabezpečení výpočetní techniky Pro zajištění ochrany osobních údajů jsou stanovena pravidla pro užívání IT techniky ve škole. Jedná se o správu, údržbu, ochranu a zabezpečení výpočetní techniky, ochranu a zabezpečení informačních systémů, dat a software. Tyto pravidla zajistí ředitel školy. Čl. 20 Porušení zabezpečení osobních údajů

7 Jestliže kterákoliv ze zúčastněných stran (správce, zpracovatel, subjekt údajů) získá podezření, že je porušeno zabezpečení osobních údajů, je postup následující: 1. Ihned o tom informuje ředitele školy a pověřence k ochraně osobních údajů. 2. Ředitel školy a pověřenec pro ochranu osobních údajů zhodnotí, zda došlo k porušení zabezpečení osobních údajů dle článku 33 a 34 GDPR. 3. Ředitel školy a pověřenec pro ochranu osobních údajů zjistí povahu a závažnost daného porušení zabezpečení osobních údajů a jeho důsledky a nežádoucí účinky pro školu. 4. V případě potvrzení bezodkladně, nejpozději do 72 hodin, informují Úřad pro ochranu osobních údajů. 5. V případě pochybností, zda došlo/nedošlo k porušení zabezpečení osobních údajů je vždy vznesen dotaz na Úřad pro ochranu osobních údajů. 6. V případě, že došlo k porušení zabezpečení osobních údajů, oznámí tuto skutečnost ředitel školy subjektu údajů (dítě, zákonný zástupce, zaměstnanec). 7. Ředitel školy a pověřenec pro ochranu osobních údajů na základě doporučení Úřadu pro ochranu osobních údajů učiní taková opatření, aby nedocházelo k dalšímu porušování zabezpečení osobních údajů. Čl. 21 Spisový a skartační řád Škola má zpracovaný spisový a skartační řád včetně spisového a skartačního plánu. Čl. 22 Školní řád Ředitel školy zajistí doplnění školního řádu o kapitolu věnující se ochraně osobních údajů, ve které pojmenujeme práva a povinnosti ve vztahu k ochraně osobních údajů, tj. zejména povinnost zachovávat mlčenlivost pro pedagogy školy, právo zákonných zástupců na přístup k osobním údajům, pravidla pro souhlas se zpracováváním osobních údajů a zákaz pořizování zvukových a obrazových záznamů osob bez jejich svolení. Čl. 23 Organizační řád Organizační řád je doplněn o funkci o funkci pověřence pro ochranu osobních údajů, který provádí nezávislou kontrolní funkci ochrany osobních údajů ve škole. část šestá JEDNOTLIVÉ PŘÍPADY ZPRACOVÁNÍ Čl. 24 Školní matrika Ředitel školy rozhodne o formě vedení školní matriky (písemná, elektronická), o odpovědných osobách pro práci se školní matrikou (administrátor, učitel, ), o právech a povinnostech zodpovědných osob, o zabezpečení údajů ze školní matriky a o způsobu předávání údajů ze školní matriky. Čl. 25 Školní úraz Při evidenci školních úrazů (kniha úrazů, záznam o úrazu) je třeba zajistit, aby byla zachovávána mlčenlivost při práci s osobními údaji při evidenci úrazů dětí a veškeré dokumenty (kniha úrazů, záznamy o úrazech) byly řádně uloženy ve spisovně školy, popřípadě v archivu školy a byl dodržován režim dle spisové služby ve škole. Čl. 26 Správní řízení V případě rozhodování ředitele školy o právech a povinnostech v oblasti veřejné/státní správy podle ustanovení 165 odst. 2 a 183 odst. 1 školského zákona se o průběhu správního řízení vede spis, který je řádně uložen a zabezpečen dle spisového a skartačního řádu ve škole. V souladu s 36 odst. 3 zákona č. 500/2004 Sb., správního řádu, má zákonný zástupce možnost ještě před vydáním rozhodnutí seznámit se s obsahem spisu vyjádřit se k podkladům rozhodnutí.

8 Čl. 27 Poskytování poradenských služeb Škola má podle vyhlášky č. 72/2005 Sb., o poskytování poradenských služeb, povinnost poskytovat poradenské služby dětem i zákonným zástupcům dětí. Osobní údaje o dětech a jejich rodičích, která se poradenští pracovníci školy dozvědí v souvislosti s výkonem své poradenské činnosti, jsou rovněž chráněny dle GDPR a této směrnice. V těchto případech je nutné klást důraz na následující pravidla: zachovávat mlčenlivost o skutečnostech týkajících se osobních údajů dětí (zákonných zástupců dětí), dbát, aby programy, se kterými se pracuje při poskytování poradenské služby, byly nainstalovány pouze na určených počítačích, byly přístupné až po přihlášení uživatele ke školní počítačové síti, pro spuštění programu je nezbytné přihlášení uživatele, dokumentaci v listinné podobě je nutné ukládat v zamykatelné skříni v určených prostorách školy, vydává se na základě žádosti odpovědného pracovníka, během zpracování nesmí být ponechána bez dohledu, po ukončení zpracování musí být neprodleně navrácena na určené místo. Zvláštní pozornost je třeba věnovat citlivým údajům o dětech. Citlivými údaji jsou zejména zdravotní stav dítěte,, závěry pedagogicko-psychologické poradny, lékařské posudky a závěry jiných institucí. Při předávání informací, které obsahují citlivé údaje, podepíše zákonný zástupce dítěte souhlas se zpracováním citlivých údajů. Čl. 28 Webové stránky školy a fotografie/videa Mezi osobní údaje patří i fotografické záznamy a videozáznamy (dále jen fotografie). Činnost školy je neodmyslitelně spojena s pořizováním fotografií dětí i zaměstnanců školy, popřípadě dalších osob (zákonní zástupci dětí, účastníci školních akcí apod.). Osobní údaje dětí na webových stránkách je možné využívat pouze se souhlasem zákonných zástupců dětí. Souhlas subjektu údajů (zákonný zástupce dítěte, zaměstnanec školy) musí být informovaný, konkrétní a písemný a správce osobních údajů je povinen získat jej ještě předtím, než zpracování osobních údajů zahájí, a také je povinen jej po celou dobu zpracování prokázat. Ředitel školy zajistí: aby děti i zaměstnanci školy byli seznámení s ustanoveními 84 až 90 občanského zákoníku (Podoba a soukromí), aby pořizování fotografií za účelem propagace a informování o činnosti školy bylo vždy na základě informovaného souhlasu zákonných zástupců dětí, aby zaměstnanci školy znali oprávněné zpracování osobních údajů fotografií, aby byly zveřejňované fotografie vhodné. Při zpřístupnění fotografií dětí na webových stránkách školy je potřeba rozlišovat, jedná-li se o fotografii konkrétního dítěte s osobními údaji (jméno, příjmení, třída, ) nebo zda fotografie zachycují pouze průběh školních akcí, nikoli podobizny jednotlivých dětí, a jsou označeny pouze názvem dané školní akce. Tento postup účastníka řízení tak nelze považovat za zásah do práva na ochranu osobních údajů a k porušení nařízení EU. Čl. 29 Projevy osobní povahy žáků Jedná se o výtvarné práce a hudební vystoupení žáků. Tyto dokumenty mohou být zveřejňovány jenom na základě informovaného souhlasu zákonných zástupců dětí. Čl. 30 Mimoškolní akce

9 Při organizování mimoškolních akcí je nezbytné pracovat s osobními údaji dětí. Ředitel školy zajistí: jakou formou dá zákonný zástupce souhlas s mimoškolní akcí, aby součástí souhlasu byl i informovaný souhlas pro práci s osobními údaji dětí, aby seznamy dětí obsahovaly pouze nezbytné osobní údaje, aby seznamy sloužily pouze k jednomu danému účelu, například k výjezdu dětí na školu v přírodě, aby fotografie a videa byla zveřejňována pouze s informovaným souhlasem zákonných zástupců dětí, aby fotografie a videa byla vhodná pro prezentaci školy, aby byly zabezpečeny dokumenty ke zdravotní způsobilosti a písemné prohlášení zákonných zástupců dítěte. Čl. 31 Kamerový systém V režimu nařízení EU o ochraně osobních údajů (GDPR) jsou takové kamerové systémy, které jsou vybaveny záznamovým zařízením, tedy jejich součástí je uchovávání (zpracování) informací osobních údajů. Ředitel školy zajistí: stanovení účelu instalace kamerového systému, způsob provozování kamerového systému, souhlas subjektu údajů (zákonných zástupců dětí, zaměstnanců školy, ), pokud není kamera provozována na základě oprávněného zájmu (zajištění bezpečnosti a ochrany majetku), informovanost monitorovaných osob o kamerovém systému, ochranu zaměstnanců před sledováním zaměstnavatele. Čl. 32 Smlouvy Řada smluv obsahuje osobní údaje nebo na základě smluvního vztahu jako zpracovatelé pracují s osobními údaji správce (školy). Jedná se zejména o smlouvy typu: zpracování platů zaměstnanců externí firmou (vedení mzdového účetnictví), provozování cloudového úložiště (uložena školní matrika a další dokumentace školy), poskytování pracovnělékařské služby závodním lékařem, zajišťování bezpečnosti bezpečnostní agenturou. Škola je v pozici správce osobních údajů. Externí firma poskytující prodej zboží nebo služby je v pozici zpracovatele osobních údajů. I uzavřená smlouva nezbavuje správce (školy) povinnosti chránit osobní údaje Škola je povinna využít pro zpracování osobních údajů pouze ty zpracovatele, kteří poskytují dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby dané zpracování splňovalo požadavky GDPR (čl. 28 GDPR) a zajistit a doložit, že zpracování osobních údajů je prováděno v souladu s GDPR (čl. 24 GDPR). Zejména musí být uzavřena písemná (postačí elektronická) zpracovatelská smlouva. Čl. 33 Účetní doklady Účetní doklady (faktury) jsou dokumenty obsahujícím osobní údaje, na které se GDPR vztahuje. Účetní jednotky jsou povinny uchovávat účetní záznamy pro účely vedení účetnictví po zákonem stanovenou dobu (zákon o účetnictví), jedná se tedy o zpracování osobních údajů. Příklady účetních dokladů a jejich archivace: účetní závěrky a výroční zprávy po dobu 10 let počínajících koncem účetního období, kterého se týkají, účetní doklady, účetní knihy, odpisové plány, inventurní soupisy, účtový rozvrh, přehledy po dobu 5 let počínajících koncem účetního období, kterého se týkají,

10 účetní záznamy, kterými účetní jednotky dokládají vedení účetnictví, po dobu 5 let počínajících koncem účetního období, kterého se týkají. Účetní jednotka může jako účetní záznamy použít zejména mzdové listy, daňové doklady nebo jinou dokumentaci vyplývající ze zvláštních právních předpisů. Čl. 34 Poskytování dotací z operačních programů Zpracovávání osobních údajů při realizaci poskytování dotací nemá zásadně výslovnou oporu v zákoně s výjimkou čl. 125 odst. 2 písm. d) a e) GDPR, podle kterého je mimo jiné možné zpracovávat osobní údaje osob podpořených z dotace, které se uchovávají a zaznamenávají v počítačových systémech o každé operaci nezbytné pro realizaci čerpání dotace. Při zpracování žádosti o dotaci a další dokumentace při poskytování dotací je třeba zajistit souhlas subjektu údajů. část šestá POVĚŘENEC PRO OCHRANU OSOBNÍCH ÚDAJŮ Čl. 35 Jmenování pověřence pro ochranu osobních údajů Ředitel školy jmenuje externího pověřence pro ochranu osobních údajů dle čl. 37 GDPR z řad advokátů. Zásady pro činnost pověřence budou součástí příkazní smlouvy. část sedmá ZÁVĚREČNÁ USTANOVENÍ Směrnice nabývá účinnosti dne Čl. 36 Účinnost Brno, Mgr. Ladislava Šilhanová ředitel školy